Falco.

Moteur open source de securite runtime cloud-native qui detecte les comportements anormaux des conteneurs, des hotes et de Kubernetes en transmettant les appels systeme et les evenements d'audit a un moteur de regles. Cette notion relève de la catégorie Défense et opérations en cybersécurité.

Moteur open source de securite runtime cloud-native qui detecte les comportements anormaux des conteneurs, des hotes et de Kubernetes en transmettant les appels systeme et les evenements d'audit a un moteur de regles.

Falco est un outil de runtime security sous licence Apache 2.0, cree a l'origine par Sysdig puis donne a la Cloud Native Computing Foundation (CNCF), ou il a atteint le statut Graduated en 2024. Il consomme les appels systeme Linux via une sonde eBPF ou un module noyau, ainsi que les audit logs Kubernetes et des sources d'evenements enfichables (AWS CloudTrail, Okta, GitHub), evaluees contre un jeu de regles en YAML. Les regles livrees detectent les evasions de conteneur, les shells dans un conteneur, les ecritures sous /etc, les connexions sortantes inattendues et l'elevation de privileges. Les operateurs envoient les alertes a falcosidekick, qui peut les retransmettre vers Slack, OpsGenie, Loki ou un SOAR. Falco est la couche runtime de reference dans les SOC Kubernetes-natifs, complete par des controleurs d'admission comme Kyverno.

Les défenses contre Falco combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : securite runtime Falco, Sysdig Falco.